6.9. Ответственность за нарушения установленного порядка пользования ресурсами информационной системы Банка. Расследование нарушений

Любое грубое нарушение порядка и правил пользования информационными ресурсами Банка должно расследоваться. К виновным должны применяться адекватные меры воздействия. Мера ответственности персонала за действия, совершенные в нарушение установленных правил обеспечения безопасной работы с информацией, должна определяться нанесенным ущербом, наличием злого умысла и другими факторами по усмотрению руководства Банка.

Для реализации принципа персональной ответственности пользователей за свои действия необходимы:

• индивидуальная идентификация пользователей и инициированных ими процессов, т.е. установление за ними идентификатора (login, Username), на базе которого будет *осуществляться разграничение доступа в соответствии с принципом обоснованности доступа;

• проверка подлинности пользователей (аутентификация) на основе паролей, ключей на различной физической основе, биометрических характеристик личности и т.п.;

• реакция на попытки несанкционированного доступа (сигнализация, блокировка и т.д.).

6.10. Средства обеспечения информационной безопасности Банка

Для обеспечения информационной безопасности Банка используются следующие средства защиты:

• физические средства;

• технические средства;

• средства идентификации и аутентификации пользователей;

• средства разграничения доступа;

• средства обеспечения и контроля целостности;

• средства оперативного контроля и регистрации событий безопасности;

• криптографические средства.

Средства защиты должны применяться ко всем чувствительным ресурсам информационной системы Банка, независимо от их вида и формы представления информации в них.

6.10.1. Физические средства защиты

Физические меры защиты основаны на применении разного рода механических, электронных или электронно-механических устройств и сооружений, специально предназначенных для создания физических препятствий на возможных путях проникновения и доступа потенциальных нарушителей к компонентам системы и защищаемой информации, а также технических средств визуального наблюдения, связи и охранной сигнализации.

Физическая защита зданий, помещений, объектов и средств информатизации должна осуществляться Управлением безопасности путем установления соответствующих постов охраны, с помощью технических средств охраны или любыми другими способами, предотвращающими или существенно затрудняющими проникновение в них посторонних лиц, хищение документов и носителей информации, самих средств информатизации, а также исключающими нахождение внутри контролируемой (охраняемой) зоны технических средств съема информации.

Для обеспечения физической безопасности компонентов информационной системы Банка необходимо осуществлять ряд организационных и технических мероприятий, включающих: проверку оборудования, предназначенного для обработки закрытой (конфиденциальной) информации, на:

• наличие специально внедренных закладных устройств;

• побочные электромагнитные излучения и наводки;

• введение дополнительных ограничений по доступу в помещения, предназначенные для хранения и обработки закрытой информации;

• оборудование систем информатизации устройствами защиты от сбоев электропитания и помех в линиях связи.